fix: honor proxies in runtime source verification

2026-08-19 02:09:59 +00:00
parent 2aa78aebd9
commit 0a7ad6a3b6
3 changed files with 38 additions and 10 deletions
@@ -3,7 +3,7 @@
 ## 每个候选版必须完成

 - 当前提交位于 `main`，工作区除明确忽略的本地缓存外干净；版本号、插件版本和 Git 标签一致。
- `npm ci`、`npm test`、`npm audit --omit=dev --audit-level=high` 全部通过。
+- `npm ci`、`npm test`、`npm audit --omit=dev --audit-level=high` 全部通过。发布机存在代理环境变量时，运行时来源校验应优先使用系统 `curl` 继承代理，并在短超时内给出明确失败；不要依赖默认不读取代理的 Node `fetch`。
 - `npm run runtime:verify` 确认 Node 官方精确版本源和至少一个国内源同时提供全部六个平台制品，且镜像 `SHASUMS256.txt` 与仓库固定哈希一致。
 - `release:build`、`test-bundle:build` 和 `release:verify` 成功，`SHA256SUMS` 校验通过，发行物不包含 `.secrets`、`.runtime`、数据库、私钥或机器私有路径。
 - 国内 Gitea 首选源与自建 HTTPS 备用目录的 `manifest.json`、`manifest.sig` 和全部安装附件逐文件哈希一致；黑盒测试包及动态提示词只要求自建目录可用。连续部署同一 Tag 必须复用既有 Release 和固定 `createdAt`，不得重复创建或因测试包时间戳产生哈希漂移。模拟首选源网络失败/404 后能从备用源完成首次安装和更新，模拟首选源返回错误哈希或签名时必须立即停止而不换源。